🇰🇷 한글 설명
WordPress의 Comments Extra Fields For Post,Pages and CPT 플러그인 5.0 이하 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 구독자 이상의 권한을 가진 인증된 공격자가 AJAX 액션을 호출하여 댓글 양식 필드를 수정하거나 플러그인 설정을 변경할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 관리자만 할 수 있는 설정 변경을 마음대로 할 수 있는 보안 구멍이 발견되었습니다. 공격자가 댓글 입력창의 항목을 바꾸거나 플러그인 설정을 조작하여 사이트를 혼란에 빠뜨릴 수 있습니다.
🇺🇸 원문 (English)
The Comments Extra Fields For Post,Pages and CPT plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 5.0. This is due to missing or incorrect capability checks on several ajax actions. This makes it possible for authenticated attackers, with subscriber access or higher, to invoke those actions. As a result, they may modify comment form fields and update plugin settings.
📍 영향받는 시스템
Comments Extra Fields For Post,Pages and CPT plugin (WordPress) version 5.0 and below
⚔️ 공격 벡터
인증된 사용자(Subscriber 권한 이상)가 적절한 권한 검증 없이 AJAX 요청을 보내 플러그인 설정을 조작함
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, 권한 관리가 강화된 버전인지 확인하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 5.0 이하인지 플러그인 관리 페이지에서 확인해야 합니다.
wp plugin list --status=active | grep -i 'comments-extra-fields'